Auftragsverarbeitungsvertrag (AVV) Deutschland

Der Auftragsverarbeitungsvertrag (AVV) in Deutschland — auch als Datenverarbeitungsvertrag oder Data Processing Agreement (DPA) bezeichnet — ist ein zwingend vorgeschriebenes Rechtsinstrument nach Art. 28 der Datenschutz-Grundverordnung (DSGVO, EU-Verordnung 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016), das immer dann abgeschlossen werden muss, wenn ein Verantwortlicher (Controller) personenbezogene Daten durch einen Auftragsverarbeiter (Processor) verarbeiten lässt. Die DSGVO gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten einschließlich Deutschland und wird durch das Bundesdatenschutzgesetz (BDSG) in der Fassung vom 30. Juni 2017 (BGBl. I S. 2097) ergänzt.

Der AVV dokumentiert das sogenannte Auftragsverarbeitungsverhältnis: Der Verantwortliche bestimmt Zweck und Mittel der Datenverarbeitung; der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Diese strikte Weisungsgebundenheit unterscheidet den Auftragsverarbeiter von einem eigenständigen datenschutzrechtlichen Verantwortlichen. Nach Art. 28 Abs. 3 DSGVO muss der AVV mindestens folgende Inhalte haben: Gegenstand, Dauer, Art und Zweck der Verarbeitung; Art der personenbezogenen Daten und Kategorien betroffener Personen; die Pflichten und Rechte des Verantwortlichen; Weisungsrecht des Verantwortlichen; Vertraulichkeitspflicht des Auftragsverarbeiters und seiner Mitarbeiter; technisch-organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO; Regelungen zu Subauftragsverarbeitern nach Art. 28 Abs. 2 DSGVO; Unterstützungspflichten bei Betroffenenrechten (Art. 12–22 DSGVO); Meldepflichten bei Datenpannen nach Art. 33–34 DSGVO; Lösch- oder Rückgabepflichten; Auditrechte des Verantwortlichen.

In Deutschland überwachen die 16 Landesdatenschutzbehörden (Landesbeauftragte für den Datenschutz, z.B. der Bayerische Landesbeauftragte für den Datenschutz, BayLfD; der Berliner Beauftragte für Datenschutz und Informationsfreiheit, BlnBDI; der Hessische Beauftragte für Datenschutz und Informationsfreiheit, HBDI) sowie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) die Einhaltung der DSGVO. Das Fehlen eines wirksamen AVV kann nach Art. 83 Abs. 4 DSGVO mit Geldbußen bis zu 10.000.000,00 Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens geahndet werden — je nachdem, welcher Betrag höher ist.

Typische Konstellationen der Auftragsverarbeitung in Deutschland, für die ein AVV erforderlich ist: Cloud-Dienste (SaaS, IaaS, PaaS) bei Anbietern wie AWS (Rechenzentren Frankfurt, AWS EMEA SARL), Microsoft Azure (Rechenzentren Frankfurt und Berlin), Google Cloud Platform; Lohn- und Gehaltsabrechnung durch externe Dienstleister (Datev eG, Lexware); E-Mail-Marketing und Newsletter-Tools (Mailchimp, CleverReach); IT-Support und Fernwartung; Marktforschung und Meinungsumfragen; Call-Center-Dienstleistungen; Aktenvernichtung und Datenschredder. Gemäß Art. 28 Abs. 1 DSGVO darf der Verantwortliche nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten, dass geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO durchgeführt werden und die Verarbeitung DSGVO-konform erfolgt.

Der Auftragsverarbeitungsvertrag in Deutschland ist immer dann erforderlich, wenn ein Unternehmen oder eine Behörde (als Verantwortlicher nach Art. 4 Nr. 7 DSGVO) personenbezogene Daten von natürlichen Personen an einen externen Dienstleister (Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO) zur Verarbeitung übergibt. Wichtig: Der AVV ist kein optionales Gestaltungsmittel, sondern eine gesetzliche Pflicht — seine Nichterfüllung stellt eine eigenständige Datenschutzverletzung dar, die unmittelbar bußgeldbewehrt ist.

Cloud Computing und SaaS-Dienste: Jede Nutzung von Cloud-Diensten zur Verarbeitung personenbezogener Daten erfordert einen AVV. Dies betrifft CRM-Systeme (Salesforce, HubSpot), ERP-Systeme (SAP Cloud, Microsoft Dynamics 365), HR-Software (Personio, Workday), Videokonferenz-Tools (Zoom, Microsoft Teams, Google Meet) und Buchhaltungssoftware (Lexoffice, DATEV). Die Datenschutzkonferenz (DSK) — das Gremium der deutschen Landesdatenschutzbehörden — hat in verschiedenen Beschlüssen die Anforderungen an Cloud-AVV konkretisiert.

Lohn- und Gehaltsabrechnung: Externe Lohnbuchhaltungsbüros und Steuerberater (StB), die im Auftrag von Unternehmen Lohnabrechnungen erstellen und dabei auf Arbeitnehmerdaten (Name, Adresse, Steueridentifikationsnummer, Sozialversicherungsnummer, Bankverbindung, Krankheitsdaten) zugreifen, sind Auftragsverarbeiter. Nach BDSG §26 genießen Beschäftigtendaten besonderen Schutz — der AVV muss dies berücksichtigen.

Webseiten-Dienstleistungen und Online-Marketing: Google Analytics 4 (GA4), Meta Pixel (Facebook Pixel), Hotjar und ähnliche Web-Analyse-Tools erheben personenbezogene Daten (IP-Adressen, Cookie-IDs, Nutzungsprofile). Soweit diese Tools im Auftrag des Webseitenbetreibers handeln, ist ein AVV abzuschließen; bei eigenverantwortlicher Verarbeitung durch den Plattformanbieter liegt hingegen eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor — die Abgrenzung ist im Einzelfall zu prüfen.

Gesundheitssektor: Praxisverwaltungssoftware, Abrechnungsdienstleister und telemedizinische Plattformen verarbeiten besonders schutzwürdige Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO. Für diese Kategorie sind über den AVV hinaus zusätzliche Anforderungen nach Art. 9 Abs. 2 lit. h DSGVO und dem Patientenrechtegesetz (PatRG, §630f BGB) zu erfüllen.

Öffentliche Verwaltung und Behörden: Auch Behörden auf Bundes- und Landesebene sind zur DSGVO-Konformität verpflichtet. Wenn z.B. ein Kommunalverwaltungssystem durch einen IT-Dienstleister betrieben wird, ist ein AVV nach Art. 28 DSGVO i.V.m. dem jeweiligen Landesdatenschutzgesetz (z.B. Bayerisches Datenschutzgesetz, BayDSG; Berliner Datenschutzgesetz, BlnDSG) abzuschließen.

Drittlandtransfers (Art. 44–49 DSGVO): Werden Daten an Auftragsverarbeiter in Drittstaaten (außerhalb der EU/des EWR) übermittelt, muss der AVV durch EU-Standarddatenschutzklauseln (SCC — Standard Contractual Clauses, Durchführungsbeschluss EU 2021/914 der Kommission vom 4. Juni 2021) oder durch ein angemessenes Schutzniveau nach Art. 45 DSGVO (z.B. EU-US Data Privacy Framework, Angemessenheitsbeschluss der Kommission vom 10. Juli 2023) ergänzt werden.

Ein wirksamer Auftragsverarbeitungsvertrag (AVV) in Deutschland muss nach Art. 28 Abs. 3 DSGVO alle gesetzlich vorgeschriebenen Mindestinhalte abdecken und zusätzlich den Anforderungen der deutschen Datenschutzbehörden und der Datenschutzkonferenz (DSK) entsprechen.

Parteien und Definitionen (Art. 4 DSGVO): Der AVV benennt klar den Verantwortlichen (Controller), den Auftragsverarbeiter (Processor) und — falls eingesetzt — Subauftragsverarbeiter (Sub-Processors). Die Definitionen von "personenbezogenen Daten" (Art. 4 Nr. 1 DSGVO), "Verarbeitung" (Art. 4 Nr. 2 DSGVO), "Datenpanne" (Art. 4 Nr. 12 DSGVO) und "betroffener Person" (Art. 4 Nr. 1 DSGVO) sind zu verwenden.

Gegenstand, Art, Zweck und Dauer der Verarbeitung (Art. 28 Abs. 3 DSGVO): Der AVV beschreibt präzise, welche personenbezogenen Daten (z.B. Name, E-Mail-Adresse, Kaufhistorie) von welchen Kategorien betroffener Personen (z.B. Kunden, Mitarbeiter, Nutzer) für welche Zwecke (z.B. Rechnungsstellung, Lohnabrechnung, Kundenbetreuung) und für welche Dauer (Vertragslaufzeit plus Aufbewahrungsfristen nach §§238, 257 HGB — 10 Jahre für Jahresabschlüsse, 6 Jahre für Handelsbriefe; §147 AO — 10 Jahre für steuerlich relevante Dokumente) verarbeitet werden.

Weisungsrecht und -recht (Art. 28 Abs. 3 lit. a DSGVO): Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Jede Änderung der Verarbeitungszwecke oder -methoden bedarf einer dokumentierten Weisung. Widerspricht der Auftragsverarbeiter einer Weisung aus datenschutzrechtlichen Gründen, hat er den Verantwortlichen unverzüglich zu unterrichten.

Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO): Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (schriftliche Vertraulichkeitsvereinbarung oder gesetzliche Verschwiegenheitspflicht). In Deutschland können Beschäftigte nach §26 BDSG auf Verschwiegenheit verpflichtet werden.

Technisch-organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO: Der AVV enthält als Anlage eine detaillierte Beschreibung der TOMs des Auftragsverarbeiters: Zugangskontrolle (Passwortrichtlinien, Zwei-Faktor-Authentifizierung), Zugriffskontrolle (Role-Based Access Control, RBAC), Weitergabekontrolle (Verschlüsselung nach AES-256, TLS 1.3), Eingabekontrolle (Audit Logs), Verfügbarkeitskontrolle (Backups, Business Continuity Management nach ISO 22301), Trennungsgebot (logische oder physische Trennung von Daten verschiedener Verantwortlicher). Die TOMs sind bei Bedarf dem Stand der Technik anzupassen (Art. 32 Abs. 1 DSGVO — Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung).

Subauftragsverarbeiter (Art. 28 Abs. 2 DSGVO): Der Auftragsverarbeiter darf Subauftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einsetzen. Der AVV regelt, ob eine allgemeine Genehmigung (mit Änderungsmitteilung) oder eine spezifische Genehmigung für jeden Subauftragsverarbeiter erforderlich ist. Subauftragsverarbeiter müssen den gleichen Datenschutzpflichten unterliegen wie der Hauptauftragsverarbeiter (Art. 28 Abs. 4 DSGVO).

Betroffenenrechte (Art. 12–22 DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen: Auskunftsrecht (Art. 15 DSGVO), Berichtigungsrecht (Art. 16), Löschrecht (Art. 17 — Recht auf Vergessenwerden), Einschränkungsrecht (Art. 18), Datenübertragbarkeitsrecht (Art. 20), Widerspruchsrecht (Art. 21). Die gesetzliche Antwortfrist beträgt gemäß Art. 12 Abs. 3 DSGVO einen Monat (verlängerbar um zwei weitere Monate bei komplexen Anfragen).

Datenübertragbarkeit und Löschung nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO): Nach Beendigung des AVV hat der Auftragsverarbeiter alle personenbezogenen Daten entweder zurückzugeben oder zu löschen und die Löschung schriftlich zu bestätigen.

Das Portal forms-legal.com stellt dieses AVV-Muster als strukturierten Ausgangspunkt zur Verfügung. Da die TOMs-Anlage auf die spezifische IT-Infrastruktur des Auftragsverarbeiters abgestimmt sein muss und die Subauftragsverarbeiter-Liste regelmäßig zu aktualisieren ist, empfiehlt sich die Hinzuziehung eines Datenschutzbeauftragten (DSB) nach Art. 37 DSGVO. Verwandte Dokumente auf forms-legal.com: Datenschutzerklärung (Website) nach Art. 13 DSGVO und B2B-Rahmenvertrag.

Das Ausfüllen des Auftragsverarbeitungsvertrags (AVV) in Deutschland erfordert präzise Angaben zu den Vertragsparteien, dem Gegenstand der Verarbeitung und den technisch-organisatorischen Maßnahmen (TOMs), da die DSGVO in Art. 28 Abs. 3 eine schriftliche Vereinbarung mit konkreten Mindestinhalten vorschreibt.

Erster Schritt: Vertragsparteien identifizieren. Tragen Sie vollständige Angaben zum Verantwortlichen (Controller) ein: Name/Firma, Anschrift, Handelsregisternummer (sofern vorhanden), Datenschutzbeauftragte/r (Name, Kontaktdaten gemäß Art. 37 Abs. 7 DSGVO). Ebenso zum Auftragsverarbeiter: vollständige Firmendaten, Name des zuständigen Datenschutzbeauftragten oder Datenschutzansprechpartners.

Zweiter Schritt: Gegenstand der Verarbeitung präzise beschreiben. Führen Sie alle Datenkategorien auf (z.B. Kontaktdaten: Name, E-Mail, Telefonnummer; Vertragsdaten: Kundenkontonummer, Rechnungsadresse; Nutzungsdaten: IP-Adresse, Cookie-ID, Nutzungsstatistiken). Benennen Sie die Kategorien betroffener Personen (Kunden, Interessenten, Mitarbeiter, Webseitenbesucher). Beschreiben Sie den Verarbeitungszweck klar (z.B. "Hosting und Betrieb der E-Commerce-Plattform", "Durchführung der monatlichen Lohnabrechnung").

Dritter Schritt: TOMs-Anlage ausfüllen. Die technisch-organisatorischen Maßnahmen (Anlage 1 des AVV) müssen konkret und überprüfbar sein. Vage Formulierungen wie "angemessene Sicherheitsmaßnahmen" genügen den Anforderungen der deutschen Datenschutzbehörden nicht. Orientieren Sie sich an den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) — insbesondere dem IT-Grundschutz-Kompendium (BSI-Standard 200-1 bis 200-4) und den BSI-Leitfäden für Cloud-Sicherheit (C5-Kriterienkatalog).

Vierter Schritt: Subauftragsverarbeiter-Liste. Erstellen Sie eine vollständige Liste aller eingesetzten Subauftragsverarbeiter mit Name, Sitz, Zweck der Weitergabe und Kategorien übermittelter Daten. Typische Subauftragsverarbeiter: Amazon Web Services EMEA SARL (Luxemburg, Hosting), Stripe Payments Europe (Dublin, Zahlungsabwicklung), Twilio Inc. (USA + SCCs, SMS-Versand). Bei Drittlandtransfers: Nachweis des Schutzniveaus (Angemessenheitsbeschluss nach Art. 45 DSGVO oder SCCs nach Durchführungsbeschluss 2021/914).

Fünfter Schritt: Meldepflichten definieren. Legen Sie die Meldefrist für Datenpannen fest: Der Auftragsverarbeiter muss den Verantwortlichen nach Art. 33 DSGVO unverzüglich — möglichst innerhalb von 24 Stunden nach Bekanntwerden der Panne — informieren, damit der Verantwortliche seiner gesetzlichen 72-Stunden-Meldefrist gegenüber der zuständigen Landesdatenschutzbehörde nachkommen kann.

Sechster Schritt: Unterzeichnung und Aufbewahrung. Der AVV muss von beiden Parteien unterzeichnet werden. Eine elektronische Signatur (qualifizierte elektronische Signatur, QES, nach eIDAS-VO Art. 25) ist zulässig und gleichwertig. Bewahren Sie den unterzeichneten AVV für die Dauer des Auftragsverarbeitungsverhältnisses plus mindestens drei Jahre auf (Verjährungsfrist nach §195 BGB für vertragliche Ansprüche).

Die rechtlichen Anforderungen an den Auftragsverarbeitungsvertrag (AVV) in Deutschland ergeben sich primär aus der DSGVO und werden durch nationales Recht (BDSG) und behördliche Leitlinien der Datenschutzkonferenz (DSK) sowie des Europäischen Datenschutzausschusses (EDSA/EDPB) konkretisiert.

Schriftlichkeitspflicht (Art. 28 Abs. 3 DSGVO): Der AVV muss schriftlich oder in einem elektronischen Format abgefasst sein. "Schriftlich" im Sinne der DSGVO umfasst auch digitale Formate (E-Mail-Austausch, eingebettete Vertragsklauseln in Online-Plattformen), sofern beide Parteien ihre Zustimmung dokumentieren. Eine eigenhändige Unterschrift im Sinne des §126 BGB ist nicht zwingend; eine qualifizierte elektronische Signatur (QES) nach Art. 3 Nr. 12 eIDAS-VO ist gleichwertig.

Mindestinhalte nach Art. 28 Abs. 3 DSGVO: Der AVV muss alle in Art. 28 Abs. 3 lit. a–h DSGVO genannten Punkte abdecken. Ein AVV, der wesentliche Inhalte auslässt — z.B. keine TOMs-Anlage enthält oder die Subauftragsverarbeiterkette nicht regelt — ist nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt.

Datenschutzfolgenabschätzung (DSFA/DPIA) nach Art. 35 DSGVO: Bei Verarbeitungen mit hohem Risiko für Rechte und Freiheiten natürlicher Personen — insbesondere bei Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO (Gesundheitsdaten, biometrische Daten, Daten zur ethnischen Herkunft), bei systematischer Überwachung öffentlicher Bereiche (CCTV), bei automatisierter Entscheidungsfindung nach Art. 22 DSGVO — ist eine Datenschutzfolgenabschätzung (DSFA) vor Beginn der Verarbeitung durchzuführen. Die deutschen Datenschutzbehörden (DSK-Beschluss vom 26. April 2018) haben Listen von Verarbeitungen veröffentlicht, für die eine DSFA zwingend ist.

Datenschutzbeauftragter (DSB) nach Art. 37–39 DSGVO: In Deutschland ist die Bestellung eines Datenschutzbeauftragten nach Art. 37 Abs. 1 DSGVO verpflichtend, wenn die Kerntätigkeit in der Verarbeitung besonderer Datenkategorien besteht oder wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§38 Abs. 1 BDSG — niedrigerer Schwellenwert als in Art. 37 DSGVO, spezifisch für Deutschland). Der DSB überwacht die Einhaltung der DSGVO und des BDSG und ist Anlaufstelle für die zuständige Datenschutzbehörde.

Bußgeldrahmen (Art. 83 DSGVO): Verstöße gegen Art. 28 DSGVO (kein wirksamer AVV; unzureichende TOMs; ungenehmigte Subauftragsverarbeiter) werden nach Art. 83 Abs. 4 DSGVO mit Geldbußen bis zu 10.000.000,00 Euro oder 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens geahndet. Schwerwiegendere Verstöße — z.B. unrechtmäßige Verarbeitung, Verletzung von Grundrechten — werden nach Art. 83 Abs. 5 DSGVO mit bis zu 20.000.000,00 Euro oder 4 % des Jahresumsatzes geahndet. In Deutschland haben die Landesbeauftragten für den Datenschutz (z.B. LfDI Baden-Württemberg: 180.000 Euro gegen ein Krankenhaus 2019; BayLfD: mehrfach Bußgelder wegen fehlender oder mangelhafter AVV) aktiv Bußgelder verhängt.

Fehler beim Auftragsverarbeitungsvertrag (AVV) in Deutschland sind in der Praxis häufig und führen zu erheblichen Bußgeldrisiken durch die Landesbeauftragten für den Datenschutz.

Fehlender oder veralteter AVV: Der häufigste Fehler ist das vollständige Fehlen eines AVV bei bestehenden Auftragsverarbeitungsverhältnissen — z.B. wenn Cloud-Dienste oder externe IT-Dienstleister ohne AVV eingesetzt werden. Ebenso problematisch ist ein AVV, der nach dem 25. Mai 2018 (DSGVO-Geltungstag) nicht auf die neuen Anforderungen aktualisiert wurde und noch alte EU-Standardvertragsklauseln nach dem Recht vor Inkrafttreten der DSGVO enthält.

Unzureichende TOMs-Anlage: Viele AVV enthalten nur allgemeine und nichtssagende Formulierungen in der TOMs-Anlage ("angemessene Sicherheitsmaßnahmen" oder "Verschlüsselung und Zugangskontrolle"). Die deutschen Datenschutzbehörden erwarten konkrete technische Beschreibungen: Verschlüsselungsstandards (AES-256, TLS 1.3), Backup-Zyklen und Recovery-Zeiten (RTO/RPO), Zertifizierungen (ISO 27001, BSI IT-Grundschutz, SOC 2 Type II), Penetrationstests und Schwachstellenscans.

Fehlende oder lückenhafte Subauftragsverarbeiter-Genehmigung: Oft fehlt die vorherige schriftliche Genehmigung für neue Subauftragsverarbeiter (z.B. wenn der Cloud-Anbieter seinen Rechenzentrumsbetrieb auf einen neuen Subdienstleister auslagert, ohne den Verantwortlichen zu informieren). Nach Art. 28 Abs. 2 DSGVO ist jede Änderung bei Subauftragsverarbeitern mitzuteilen; der Verantwortliche hat ein Widerspruchsrecht.

Unzureichende Regelung von Drittlandtransfers: Werden personenbezogene Daten in die USA, nach Indien oder in andere Drittstaaten übermittelt (z.B. durch Nutzung von US-Cloud-Diensten, US-CRM-Systemen), muss der AVV durch aktuelle EU-Standarddatenschutzklauseln (SCCs, Durchführungsbeschluss EU 2021/914) oder durch einen Angemessenheitsbeschluss der Kommission ergänzt werden. Die veralteten Safe-Harbor- und Privacy-Shield-Mechanismen sind seit den Entscheidungen des Europäischen Gerichtshofs (EuGH, C-362/14 Schrems I, 2015; C-311/18 Schrems II, 2020) ungültig.

Fehlende oder zu späte Datenpannenmeldung: Der Auftragsverarbeiter muss den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich — in der deutschen Praxis innerhalb von 24 Stunden — über eine Datenpanne informieren, damit der Verantwortliche seine 72-Stunden-Meldepflicht gegenüber der Landesdatenschutzbehörde nach Art. 33 Abs. 1 DSGVO einhalten kann. Ein AVV, der keine oder nur unzureichende Meldepflichten regelt, erhöht das Risiko verspäteter Meldungen erheblich.